Politique de Confidentialité

1. Identité de Ortalio et coordonnées

• Responsable du traitement / Entité juridique : SendWork, Inc. (société constituée en Floride)
• Adresse postale : 382 NE 191st Street, Suite 42012, Miami, FL 33179, États-Unis
• Canal de contact pour la confidentialité (Personne responsable de la protection des renseignements personnels / Équipe confidentialité) : privacy@ortalio.com
• Contact de l’équipe juridique : legal@ortalio.com
• Contact de l’assistance : support@ortalio.com
• Contact pour la protection des données dans toutes les régions : Les personnes situées dans chaque pays et région où le Service est proposé — y compris l’Espace économique européen, le Royaume-Uni et le Brésil — peuvent contacter Ortalio pour toute question relative à la confidentialité et à la protection des données à l’adresse privacy@ortalio.com ou par courrier à l’adresse postale ci-dessus.

2. Notre rôle : Responsable du traitement ou Sous-traitant

Ortalio fournit un logiciel interentreprises destiné aux entreprises de services sur le terrain et aux entreprises de métiers du bâtiment et de l’artisanat (les « Clients ») ainsi qu’à leur personnel (les « Utilisateurs autorisés ») afin qu’ils gèrent leurs activités et servent leurs propres clients (les « Clients finaux »). Nos responsabilités juridiques varient selon que nous agissons en tant que Responsable du traitement ou en tant que Sous-traitant :

2.1 Lorsque Ortalio est le Responsable du traitement (ou « Business »)

Ortalio agit en tant que Responsable du traitement (ou « Business » au sens des lois des États américains relatives à la protection de la vie privée) lorsque nous déterminons les finalités et les moyens du traitement des Données personnelles pour nos propres activités, notamment :

• l’inscription aux comptes, l’authentification et les fiches de profil professionnel des Clients et des Utilisateurs autorisés ;
• les inscriptions sur la liste d’attente précédant le lancement et les communications marketing de Ortalio ;
• la facturation des abonnements, l’établissement de factures taxes comprises et la gestion des comptes entre le Client et Ortalio ; et
• la sécurité des sites web et des applications, la prévention de la fraude, les journaux d’authentification, les diagnostics de plantage, les demandes d’assistance et la télémétrie d’utilisation du produit.

2.2 Lorsque Ortalio est le Sous-traitant (ou « Prestataire de services » / « Opérateur »)

Le Client (l’entrepreneur ou l’entreprise de services) est le Responsable du traitement (ou « Business ») — et Ortalio agit en tant que Sous-traitant (ou « Prestataire de services ») — pour l’ensemble des Données des Clients finaux et des dossiers opérationnels d’interventions que le Client ou ses Utilisateurs autorisés soumettent, stockent ou génèrent dans leur espace de travail Ortalio. Ortalio traite ces données selon les instructions du Client conformément à l’Annexe 1 (Avenant relatif au traitement des données) de nos Conditions d’utilisation commerciales.

• Avis important à l’attention des Clients finaux (propriétaires, gestionnaires immobiliers et lieux d’accueil) : Si vous avez reçu un devis, une estimation, une facture, un avis de planification ou un lien de paiement de la part d’un entrepreneur de services qui utilise Ortalio, cet entrepreneur contrôle vos Données personnelles. Veuillez adresser toute question relative à la confidentialité ou toute demande d’exercice de droits concernant votre relation avec cet entrepreneur directement à celui-ci. Si vous soumettez à Ortalio une demande identifiant un entrepreneur précis, nous transmettrons votre demande à cet entrepreneur et l’assisterons conformément à notre Avenant relatif au traitement des données.

3. Catégories de Données personnelles que nous traitons

3.1 Données des Clients et des Utilisateurs autorisés (Responsable du traitement)

• Données de compte et de profil professionnel : nom, raison sociale, métier/secteur d’activité, taille de l’entreprise, fonction/titre, adresse e-mail, numéro de téléphone, adresse professionnelle, préférence linguistique, marché/pays et devise sélectionnée.
• Données d’authentification et d’autorisation : adresse e-mail de connexion, identifiants d’authentification, autorisations d’espace de travail fondées sur les rôles et jetons de session.
• Données de facturation des abonnements et données fiscales : formule d’abonnement, cycle de facturation, adresse de facturation, numéros d’immatriculation fiscale de l’entreprise lorsqu’ils sont fournis, identifiants client et d’abonnement Stripe, historique des factures, statut des paiements et métadonnées non sensibles de carte renvoyées par Stripe (telles que la marque de la carte, les quatre derniers chiffres et la date d’expiration). Ortalio ne collecte ni ne stocke les numéros bruts de cartes de paiement ni les cryptogrammes visuels (CVV).
• Communications avec l’assistance et l’équipe juridique : messages, pièces jointes et éléments échangés avec nos équipes d’assistance, de confidentialité ou juridique.

3.2 Données de la liste d’attente (Responsable du traitement)

• Inscriptions sur la liste d’attente : nom, adresse e-mail, domaine du site web/page source, pays/marché, préférence linguistique, source de la campagne, horodatage et statut du consentement marketing. L’inscription sur une liste d’attente ne crée pas de compte logiciel et ne déclenche pas d’abonnement payant.
• Contrôles de sécurité et d’éligibilité de la liste d’attente : adresse IP (utilisée pour l’orientation géographique vers le marché approprié et pour les contrôles de risque réseau et de fraude effectués via MaxMind) ainsi que jetons de vérification anti-bot et signaux du navigateur générés par Cloudflare Turnstile.

3.3 Données d’utilisation, d’appareil, de sécurité et données locales hors ligne sur l’appareil (Responsable du traitement)

• Données techniques, de diagnostic et de sécurité : adresse IP, région géographique approximative déduite de l’adresse IP, type de navigateur et de système d’exploitation, informations sur l’appareil, pages et fonctionnalités consultées, journaux d’authentification et d’audit, rapports de plantage/d’erreur et signaux de détection des abus.
• Stockage hors ligne et local sur l’appareil (PWA / IndexedDB) : Le Service permettant une utilisation mobile et hors ligne sur le terrain, les enregistrements de l’espace de travail et les actions hors ligne en attente peuvent être mis en cache localement sur l’appareil d’un Utilisateur autorisé au moyen du localStorage et d’IndexedDB du navigateur, puis synchronisés lorsque la connexion internet est rétablie. Remarque importante sur la sécurité des appareils : La déconnexion de l’application n’efface pas automatiquement du navigateur de l’appareil toutes les lignes de file d’attente IndexedDB stockées localement ni tous les enregistrements mis en cache. Les données locales peuvent demeurer sur l’appareil jusqu’à leur suppression par un processus de nettoyage de l’application ou jusqu’à ce que l’utilisateur efface manuellement les données de son navigateur/du site. Les Utilisateurs autorisés doivent protéger leurs appareils par un code d’accès et effacer les données du navigateur s’ils utilisent un appareil partagé.

3.4 Données des Clients finaux et données opérationnelles des interventions (Sous-traitant pour le compte du Client)

• Dossiers des Clients finaux et des interventions : noms des Clients finaux, coordonnées, adresses des sites d’intervention, rendez-vous, tâches, travaux récurrents, estimations, devis, acomptes, factures, lignes de facture, taxes, statuts de paiement, relevés de temps du personnel, notes d’intervention, photos, vidéos, pièces jointes et signatures saisis par le Client.
• Messages transactionnels : estimations, factures, reçus et communications de service envoyés par un Client à un Client final par l’intermédiaire du Service, y compris le statut de remise/de rejet.

3.5 Métadonnées du Compte connecté et des Paiements connectés (si et lorsqu’ils sont activés)

Si et lorsque les Paiements connectés sont proposés sur le marché d’un Client et que le Client connecte un compte Stripe détenu par l’entrepreneur afin d’accepter des paiements de Clients finaux :

• Statut du Compte connecté : identifiant du Compte connecté Stripe, statut d’intégration, indicateurs de capacités et indicateurs de statut de restriction fournis par Stripe.
• Métadonnées des transactions : identifiants de session de paiement, statut du paiement, montant, devise, date et indicateurs de statut de remboursement/de litige nécessaires pour assurer l’exactitude des dossiers de facturation du Client. Les données de paiement brutes saisies par un Client final sur une page de paiement hébergée par Stripe sont fournies directement à Stripe en vertu de la Politique de confidentialité de Stripe (stripe.com/privacy).

3.6 Données d’IA et vocales (Sous-traitant pour le contenu / Responsable du traitement pour les journaux d’utilisation et de sécurité)

• Entrées et sorties d’IA et vocales : requêtes textuelles, contexte sélectionné de l’espace de travail, enregistrements audio vocaux soumis pour transcription, transcriptions, brouillons ou résumés générés, aperçus des actions proposées, confirmations de l’utilisateur et journaux d’audit des actions d’IA.
• Journaux de quotas et de sécurité : nombre d’interactions (pour le suivi de l’allocation prévue par la formule), journaux d’erreurs et télémétrie de sécurité/de détection des abus.

4. Sources des Données personnelles

Nous collectons des Données personnelles : (a) directement auprès des Clients, des Utilisateurs autorisés et des visiteurs de la liste d’attente ; (b) automatiquement à partir des appareils et des navigateurs qui interagissent avec le Service ; (c) auprès des Clients et des Utilisateurs autorisés qui saisissent des Données des Clients finaux dans leurs espaces de travail ; et (d) auprès de Stripe, au moyen de notifications webhook signées concernant la facturation des abonnements ou (lorsqu’ils sont activés) le statut des Paiements connectés.

5. Finalités et bases juridiques du traitement

Lorsque le RGPD de l’UE, le RGPD du Royaume-Uni (UK GDPR), la LGPD brésilienne ou des lois similaires s’appliquent à Ortalio en tant que Responsable du traitement, nous nous fondons sur les bases juridiques suivantes (et nous ne prétendons pas que la simple utilisation du Service vaut consentement général à l’ensemble des traitements) :

• Exécution d’un contrat (ou mesures précontractuelles) : pour enregistrer et authentifier les comptes, fournir le Service et ses fonctionnalités d’IA/vocales et de synchronisation hors ligne, traiter les paiements d’abonnement via Stripe, permettre la tenue des dossiers des Paiements connectés lorsqu’ils sont disponibles, envoyer des communications transactionnelles et fournir une assistance à la clientèle.
• Respect d’obligations légales : pour calculer et enregistrer les factures d’abonnement taxes comprises, conserver les documents comptables et fiscaux requis, répondre aux procédures judiciaires valables et satisfaire aux obligations légales en matière de protection des données et de sécurité.
• Intérêts légitimes : pour maintenir la sécurité de la plateforme, l’isolation des locataires et la prévention de la fraude ; diagnostiquer les erreurs et les plantages de l’application ; faire respecter nos Conditions d’utilisation commerciales ; et analyser des données dépersonnalisées ou agrégées relatives aux performances du service.
• Consentement : pour les communications marketing facultatives, les inscriptions sur la liste d’attente et les cookies/outils d’analyse non essentiels lorsque la loi exige un consentement préalable. Vous pouvez retirer votre consentement à tout moment, sans que cela affecte la licéité des traitements effectués antérieurement.

Lorsque Ortalio traite des Données des Clients finaux en tant que Sous-traitant, nous le faisons exclusivement sur les instructions de notre Client, en vertu de l’Annexe 1 (Avenant relatif au traitement des données) de nos Conditions d’utilisation commerciales.

6. Pratiques de traitement par l’IA et la voix

1. Aucun entraînement de modèles généralistes par Ortalio : Ortalio n’utilise pas les Données du Client, les Données des Clients finaux, les enregistrements audio vocaux, les transcriptions ni les résultats de l’IA pour entraîner des modèles d’intelligence artificielle généralistes destinés à d’autres clients.
2. Paramètres des prestataires commerciaux : Lorsque des fonctionnalités d’IA ou vocales sont utilisées, les requêtes sont acheminées via des intégrations API commerciales avec nos prestataires d’IA et de voix autorisés (énumérés à l’Annexe 2 ci-dessous), configurées de sorte que les Données du Client ne soient pas utilisées pour entraîner les modèles de fondation généralistes des prestataires en l’absence d’un consentement préalable (opt-in) distinct et spécifique. Les prestataires peuvent conserver temporairement les entrées et sorties de l’API, lorsque leurs conditions commerciales l’exigent, à des fins de surveillance automatisée des abus, de reprise après erreur ou de conformité légale, avant leur suppression.
3. Vérification assistée et confirmation : Lorsque l’interface de l’application le permet, les actions d’écriture de l’IA ayant des conséquences présentent un aperçu soumis à la confirmation de l’utilisateur avant toute modification des enregistrements de l’espace de travail.

7. Communication des Données personnelles, sous-traitants ultérieurs et responsables du traitement indépendants

7.1 Aucune vente ni publicité comportementale intercontextuelle. Ortalio ne « vend » pas de Données personnelles et ne « partage » pas de Données personnelles à des fins de publicité comportementale intercontextuelle ou ciblée réalisée par des tiers.

7.2 Prestataires de services et sous-traitants ultérieurs. Nous partageons des Données personnelles avec des prestataires d’infrastructure et de services soigneusement sélectionnés qui traitent des données pour notre compte afin d’héberger et de fournir le Service, notamment des prestataires d’hébergement cloud, de bases de données et d’authentification, des prestataires d’e-mails transactionnels, des prestataires de sécurité et de vérification anti-bot, des prestataires de géolocalisation IP et d’évaluation du risque de fraude, des prestataires commerciaux de traitement par l’IA et la voix (lorsque ces fonctionnalités sont sollicitées) ainsi que des prestataires de surveillance des erreurs et d’analyse des produits. La liste de nos sous-traitants ultérieurs autorisés et leur statut figurent à l’Annexe 2 ci-dessous.

7.3 Double rôle de Stripe (Sous-traitant et Responsable du traitement indépendant). Nous utilisons Stripe pour la facturation des abonnements Ortalio et (lorsqu’ils sont disponibles et activés) pour les Paiements connectés des Clients. Si Stripe agit en tant que sous-traitant/sous-traitant ultérieur pour certaines étapes d’exécution des paiements dirigées par Ortalio, Stripe agit en tant que Responsable du traitement indépendant lorsqu’il collecte et traite directement des Données personnelles aux fins de la vérification d’identité « Know-Your-Customer » (KYC), du contrôle en matière de lutte contre le blanchiment de capitaux (AML) et de sanctions, de la détection de la fraude sur les réseaux de paiement, de la conformité réglementaire et de l’administration du propre Compte connecté d’un Client. Le traitement indépendant effectué par Stripe est régi par la Politique de confidentialité de Stripe (stripe.com/privacy).

7.4 Autres communications. Nous pouvons également communiquer des Données personnelles : (a) à des Clients finaux ou à des intégrations tierces sur instruction d’un Client ; (b) à des tribunaux, à des autorités de régulation ou aux forces de l’ordre lorsque la loi l’exige ou lorsque cela est nécessaire pour protéger la sécurité, des droits ou des biens ; ou (c) dans le cadre d’une fusion, d’un financement, d’une acquisition ou d’une cession d’actifs, sous réserve de garanties de confidentialité.

7.5 Données dépersonnalisées. Lorsque nous créons ou utilisons des données techniques dépersonnalisées ou agrégées, nous les conservons et les utilisons sous une forme dépersonnalisée et ne tentons pas de réidentifier les personnes.

8. Cookies, outils d’analyse et stockage local

Nous utilisons des cookies, localStorage et IndexedDB pour authentifier les utilisateurs, mémoriser les préférences de langue et de marché, permettre le fonctionnement hors ligne de la PWA et traiter les paiements Stripe en toute sécurité. Sur les pages publiques et les pages de l’application, nous utilisons également PostHog pour évaluer les indicateurs de fonctionnalités (feature flags) et comprendre la manière dont les pages et les fonctionnalités sont utilisées, ainsi que Rollbar pour enregistrer les erreurs de l’application ; sur les formulaires de liste d’attente et les formulaires publics, Cloudflare Turnstile effectue un contrôle de sécurité anti-bot. Vous pouvez à tout moment bloquer ou supprimer les cookies et effacer le stockage du site dans les paramètres de votre navigateur, et vous pouvez demander à être exclu des outils d’analyse en écrivant à privacy@ortalio.com. Des informations détaillées sur ces technologies et sur les moyens de contrôle dont vous disposez figurent à l’Annexe 1 (Avis relatif aux cookies et au stockage local) ci-dessous.

9. Communications marketing et transactionnelles

Les personnes inscrites sur la liste d’attente et les contacts professionnels qui acceptent de recevoir des actualités marketing de Ortalio peuvent se désabonner à tout moment au moyen du lien « Se désabonner » figurant dans tout e-mail marketing ou en écrivant à privacy@ortalio.com. Le désabonnement des e-mails marketing n’affecte pas les e-mails transactionnels, de sécurité ou de facturation des abonnements indispensables à l’administration d’un compte actif.

10. Transferts internationaux de données

Ortalio a son siège aux États-Unis, et nos prestataires de services traitent les données principalement aux États-Unis et dans les autres pays où ils exercent leurs activités. Lorsque des Données personnelles font l’objet d’un transfert transfrontalier depuis l’EEE, le Royaume-Uni, le Canada (y compris le Québec), le Brésil, d’autres pays d’Amérique latine, l’Australie ou la Nouvelle-Zélande, nous mettons en œuvre les mécanismes de transfert légaux applicables — notamment les Clauses contractuelles types de l’UE, l’Addendum britannique relatif aux transferts internationaux de données et les Clauses contractuelles types de l’ANPD brésilienne, non modifiées, prévues par la Résolution CD/ANPD n° 19/2024 (figurant aux Appendices I à V de l’Annexe 1 de nos Conditions d’utilisation commerciales) —, ainsi que des garanties contractuelles de confidentialité et des mesures techniques de sécurité.

11. Conservation et suppression des données

Nous conservons les Données personnelles aussi longtemps que nécessaire pour fournir le Service et atteindre les finalités décrites dans la présente Politique de confidentialité :

• Données de l’espace de travail : conservées tant que l’essai ou l’abonnement payant d’un Client est actif et pendant la période d’exportation en lecture seule postérieure à la résiliation décrite dans les Conditions d’utilisation commerciales, après quoi la suppression des enregistrements actifs de l’espace de travail est programmée et les sauvegardes chiffrées expirent au fil des cycles normaux de rotation des sauvegardes.
• Dossiers de facturation des abonnements, dossiers fiscaux et de conformité : conservés pendant les durées de conservation imposées par les lois applicables en matière fiscale, de droit des sociétés, de comptabilité et d’audit.
• Dossiers de sécurité, de diagnostic et d’assistance : conservés pendant la durée nécessaire pour maintenir la sécurité de la plateforme, respecter les règles légales de conservation des journaux (y compris les lois applicables relatives aux registres d’accès à internet) et traiter les demandes d’assistance ou juridiques.
• Contacts de la liste d’attente et contacts marketing : conservés jusqu’à ce que le contact se désabonne, demande la suppression de ses données ou soit retiré lors du nettoyage périodique des listes, à l’exception d’un minimum d’informations conservées dans une liste d’exclusion afin de respecter les demandes d’opposition.

12. Mesures de sécurité et restrictions d’âge

12.1 Contrôles de sécurité. Ortalio maintient des mesures techniques et organisationnelles destinées à protéger les Données personnelles, notamment le chiffrement en transit (TLS), le chiffrement au repos des bases de données cloud gérées, l’isolation logique multi-locataire au moyen de politiques de sécurité au niveau des lignes (row-level security), des contrôles d’accès fondés sur les rôles et la séparation des données des titulaires de carte sur des pages de paiement hébergées par Stripe. Aucune méthode de transmission ou de stockage n’est totalement infaillible, et les utilisateurs sont responsables de la protection de leurs identifiants de connexion et de leurs appareils.

12.2 Restrictions d’âge et mineurs. Aucune personne âgée de moins de 18 ans ne peut créer ou exploiter un compte Ortalio, et Ortalio ne collecte pas sciemment de Données personnelles directement auprès d’enfants pour ses propres finalités en tant que Responsable du traitement. Lorsqu’un Client détient, dans les enregistrements de son espace de travail, des informations accessoires concernant un mineur (telles qu’une note sur un contact du foyer ou un détail relatif au site), le Client est le Responsable du traitement chargé de veiller à ce que cet enregistrement soit licite et approprié, et Ortalio le traite selon les instructions du Client.

13. Vos droits en matière de confidentialité et vos demandes

Selon votre juridiction, vous pouvez avoir le droit de demander : (a) l’accès à vos Données personnelles et une copie portable de celles-ci ; (b) la rectification de données inexactes ; (c) la suppression de vos données ; (d) la limitation de certains traitements ou l’opposition à ceux-ci ; et (e) le retrait de votre consentement lorsque le traitement est fondé sur le consentement.

• Soumettre une demande à Ortalio (données pour lesquelles Ortalio est Responsable du traitement) : Écrivez à privacy@ortalio.com en indiquant votre nom, l’adresse e-mail associée à votre interaction avec Ortalio, votre juridiction et le droit que vous souhaitez exercer. Nous vérifierons votre identité (généralement par une confirmation par e-mail) avant de donner suite à la demande. Si vous faites appel à un mandataire autorisé, nous exigeons une autorisation écrite et une vérification d’identité.
• Recours : Si nous refusons de donner suite à une demande, vous pouvez contester notre décision en répondant à notre réponse ou en écrivant à privacy@ortalio.com avec l’objet « Privacy Appeal ».
• Demandes des Clients finaux d’un entrepreneur : Veuillez contacter directement l’entrepreneur ou l’entreprise de services. Si vous nous contactez en identifiant l’entrepreneur, nous transmettrons votre demande à cet entrepreneur.

14. Dispositions par pays et région

15. Modifications de la présente Politique de confidentialité

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre. En cas de modifications substantielles, nous mettrons à jour la version et la date figurant en haut de cette page et en informerons à l’avance les Clients actifs par e-mail ou par notification dans l’application.